Fuite de courriels militaires : Des erreurs humaines révélées par le Financial Times

De simples erreurs humaines dans la terminaison des adresses e-mail ont entraîné l’envoi de messages destinés au personnel de l’armée américaine à des adresses maliennes. L’affaire a été révélée par le journal « Financial Times ». Selon le « Financial Times » dans un article publié le lundi 17 juillet, des centaines de milliers de courriels militaires américains ont été détournés vers le Mali en raison d’une « erreur de frappe ». Cette erreur est due à des employés et des services du Pentagone qui utilisent des adresses e-mail se terminant par « .mil », le suffixe ou « domaine de premier niveau » géré par l’armée américaine. Il suffit d’omettre de saisir un « i » pour envoyer accidentellement un courriel à une adresse malienne telle que « interlocuteur@army.ml ».

Le problème réside dans le fait que le domaine de premier niveau « .ml », correspondant au code pays du Mali, est techniquement géré depuis dix ans par une société privée néerlandaise appelée Mali Dili, chargée d’attribuer toutes les adresses se terminant par « .ml ». Selon un responsable de Mali Dili cité par le Financial Times, dès 2013, de nombreuses demandes concernant des noms de domaine tels que army.ml et navy.ml ont été observées, bien qu’ils n’existent pas réellement. En mettant en place un serveur de messagerie associé à ces noms de domaine, près de 117 000 messages, initialement destinés au personnel de l’armée américaine, ont été découverts par erreur envoyés à une adresse e-mail malienne.

Quelle est l’ampleur de cette fuite ? Selon le journal financier, aucun document classifié n’est concerné, et une grande partie des courriels détournés sont en réalité du spam. Cependant, des informations sensibles ont été accidentellement envoyées à des adresses se terminant par « .ml », telles que les déplacements futurs d’un général américain, des listes de personnel, ainsi que des documents médicaux et financiers concernant des employés de l’armée. Le journal affirme également que les militaires américains ne sont pas les seuls concernés, des courriels destinés à des responsables néerlandais (qui utilisent le domaine de premier niveau « .nl ») ont également été envoyés par inadvertance à des adresses maliennes.

Ces erreurs peuvent être une source d’inquiétude pour les autorités américaines, d’autant plus que Mali Dili a cessé d’être le gestionnaire technique des noms de domaine en « .ml » depuis lundi. Ce rôle a été transféré à l’Agence des technologies de l’information et de la communication (Agetic), un organisme relevant du gouvernement malien. Cette situation est préoccupante compte tenu de l’influence croissante de la Russie dans le pays, notamment par le biais du groupe paramilitaire privé russe Wagner, présent au Mali depuis décembre 2021, et de son rôle d’allié principal des militaires au pouvoir depuis le coup d’État d’août 2020.

Il est maintenant possible que les autorités maliennes et leur allié russe, par l’intermédiaire de l’Agetic, puissent exploiter les courriels mal acheminés pour nuire aux intérêts de Washington. Lors d’une conférence de presse le lundi 17 juillet, Sabrina Singh, porte-parole du Pentagone, a assuré que les messageries du ministère étaient configurées pour empêcher l’envoi de courriels vers des adresses se terminant par « .ml », sans préciser depuis quand cette mesure était en place.

Selon Mme Singh, porte-parole du Pentagone, aucun des courriels divulgués mentionnés dans la presse n’est issu d’une adresse e-mail appartenant au département de la Défense. Le Pentagone soutient que le problème est notamment dû aux membres du personnel militaire utilisant leur adresse personnelle (par exemple, une adresse Gmail) pour envoyer des documents professionnels. De plus, la description des documents fournie par le Financial Times suggère que certains courriels envoyés par erreur à des adresses en « .ml » proviennent également de personnes extérieures à l’armée, telles que des employés d’autres branches du gouvernement ou même des entreprises privées.

Selon le quotidien britannique, le problème a été signalé pour la première fois il y a près de dix ans par Johannes Zuurbier, un « entrepreneur néerlandais de l’Internet ». Il aurait alerté à plusieurs reprises les plus hautes autorités américaines sur le risque que représente une telle fuite de données, même non classifiées, pouvant être exploitées par les adversaires des États-Unis. Toutefois, Johannes Zuurbier, également connu sous le nom de Joost Zuurbier, n’est pas seulement un lanceur d’alerte. En mars 2022, plusieurs entreprises qu’il a dirigées, dont Mali Dili, ont fait l’objet d’une plainte pour « cybersquattage » de la part d’Instagram, de WhatsApp et de Meta, la société mère de Facebook. Ces entreprises auraient créé un réseau complexe de sociétés fictives qui ont enregistré, modifié et utilisé plus de 5 000 noms de domaine identiques ou similaires aux marques déposées par Meta.

Il est reproché à Freenom, une société qui supervise plusieurs autres sociétés de gestion de noms de domaine, d’avoir fermé les yeux sur l’utilisation frauduleuse de nombreuses adresses qu’elle gérait et commercialisait, principalement utilisées pour des opérations de phishing visant à voler des données personnelles et à pirater des comptes sur les réseaux sociaux. La plainte mentionne des noms de domaine contrefaits tels que fb-instagram.cf, chat-whatsaap.gq ou faceb00k.ga, enregistrés pour le compte de clients par M. Zuurbier via ses entreprises basées aux Pays-Bas et aux États-Unis, et utilisés pour rediriger les visiteurs vers d’autres sites Web commerciaux, à caractère pornographique ou utilisés pour des activités malveillantes telles que le phishing.

Selon une étude de la Commission européenne sur les abus du système de noms de domaine, il a été souligné que cinq des dix domaines de premier niveau les plus abusés sont exploités par Freenom. Un autre rapport publié en septembre 2021 par l’Interisle Consulting Group, un groupe d’experts en sécurité numérique, indique que le domaine de premier niveau « .ml » a été utilisé dans plus de 27 000 opérations de phishing entre mai 2020 et avril 2021.

Il convient de noter que le Mali n’est pas le seul pays concerné. Selon ce même rapport, sur la même période, les domaines de premier niveau des États du Gabon (« .ga »), de la République centrafricaine (« .cf ») et de la Guinée équatoriale (« .gq »), également exploités par Freenom, ont été utilisés dans plus de 57 000 opérations de phishing.